CVE-2026-75531

Pandora, URL gözlemlenebilirlerinin işlenmesinde saklı bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Analiz edilen bir dosyadan çıkarılan veya onunla ilişkilendirilen bir URL, Submit to Lookyloo eylemi tarafından kullanılan satır içi JavaScript onclick işleyicisine doğrudan eklenmiştir. Değer şablon motoru tarafından HTML kaçış karakterlerine tabi tutulmuş olsa da, bir HTML özniteliği içerisindeki JavaScript dizesine gömülmüştür. Bu nedenle, özel olarak hazırlanmış karakterler içeren saldırgan kontrollü bir URL, JavaScript dizesinden çıkabilir ve rastgele JavaScript kodu enjekte edebilir. Kötü amaçlı betik, kurban etkilenen Submit to Lookyloo kontrolü ile etkileşime girdiğinde Pandora web uygulaması bağlamında çalışacaktır. Başarılı bir istismar, bir saldırganın kurbanın tarayıcısında mevcut olan bilgilere erişmesine veya kurbanın kimliği doğrulanmış Pandora oturumunu kullanarak işlemler gerçekleştirmesine olanak tanıyabilir. Yama, gözlemlenebilir değeri satır içi JavaScript işleyicisinden kaldırır. Bunun yerine URL, bir HTML data-url özniteliğinde saklanır ve gerektiğinde DOM dataset API aracılığıyla alınır. Savunmacı sıkılaştırma amacıyla innerHTML'in diğer kullanımları da textContent ile değiştirilmiştir.